Лёгкий путь IV

— А двадцать четыре?

— Не переходят автоматически.

Он помолчал.

— Хорошо.

Я улыбнулся.

— Я ждал.

• • •

После встречи Амир задержался.

Остальные вышли.

Гильад отключился.

— Ты понимаешь, что NorthBridge не будет финансировать благотворительность?

— Да.

— И я не говорю только о прибыли.

— Знаю.

— Нам нужна стратегическая ценность.

— Она есть.

— Пока гипотеза.

— Поэтому...

Он поднял палец.

Я остановился.

Не сказал слово.

— Хорошо, — продолжил он. — Какая ценность?

Я перечислил.

Методика, которую компания не собирает заново.

Раннее выявление проблем до product gate.

Доверие к отрицательным и положительным выводам.

Доступ к исследованиям, которые одной компании трудно оправдать внутри квартального цикла.

Подготовка людей.

Связь между инженерией, human factors, испытаниями и реальной эксплуатацией.

— И если всё это можно сделать внутри компании дешевле?

— Институт не создаём.

Он кивнул.

— Вот поэтому я пока плачу.

• • •

Вечером Гильад прислал короткое сообщение:

«Я готов обсуждать финальные условия роли после следующей версии charter».

Не согласие.

Но уже не отказ.

Следом Ноа прислала обновлённый список задач.

Data/IP.

Funding.

Ownership alternatives.

Director authority.

Board access.

Review mechanism.

Personnel.

Первый research program.

Я открыл последний пункт.

Автоматическое сопровождение.

Рабочий вопрос всё ещё был слишком широким.

И ещё у нас не было людей, которые должны были его исследовать.

Я открыл список кандидатов.

Один профиль я отметил ещё несколько дней назад.

Сильный.

Опытный.

Работал с safety-critical systems.

Я написал Гильаду:

«Есть кандидат в core technical research. Хочу познакомить».

Ответ пришёл быстро:

«Пришлите профиль. Но решение по core team должно быть моим в рамках согласованных правил».

Я посмотрел.

Вот и первый практический тест.

Правила всегда выглядят разумно, пока не мешают тебе сделать что-то разумное.

Я отправил профиль.

Через двадцать минут пришёл ответ:

«Нет».

Без встречи.

Я перечитал.

Потом ещё раз.

Институт ещё не открыл двери.

А первое «нет» уже пришло.

Глава 11. Первое «нет»

Я позвонил Гильаду сразу.

— Почему нет?

— Доброе утро.

— Сейчас десять вечера.

— Тогда тем более.

— Почему нет?

Он помолчал.

— Потому что профиль не подходит.

— Ты его даже не встретил.

— Не нужно.

— Очень независимый подход.

— Ури.

Я замолчал.

— Кандидат сильный, — продолжил он. — Но он validation engineer. Очень хороший. Его карьера построена на подтверждении соответствия уже определённым требованиям.

— И?

— Нам в core research нужен человек, который умеет формулировать вопрос до требований.

— Он умеет.

— Откуда знаешь?

— Работал с нами на одной программе.

— Вот именно.

Мне не понравилось.

— Что «именно»?

— Ты предлагаешь человека, которому доверяешь.

— Это преступление?

— Нет. Но доверие основателя не является критерием найма в независимую core-команду.

— И недоверие тоже.

— Согласен.

— Тогда встреться.

— Нет.

Вот теперь я разозлился.

Не сильно.

Достаточно.

— Ты сейчас доказываешь независимость?

Пауза.

— Возможно, — сказал он.

Это был неожиданный ответ.

• • •

На следующий день мы встретились втроём.

Ноа настояла.

— Первый кадровый спор должен стать правилом, а не привычкой.

Гильад пришёл раньше.

Я положил профиль кандидата на стол.

— Начнём заново.

— Хорошо.

— Почему нет?

Он открыл резюме.

— Сильный validation background. Мало открытого research. Почти все проекты — внутри требований, которые уже были сформулированы.

— У него есть опыт field anomalies.

— Есть.

— Human-machine systems.

— Частично.

— Он знает CT.

— Вот это для меня не преимущество автоматически.

— Почему?

— Потому что первый состав Института не должен состоять из людей, которые уже думают языком вашей компании.

— Нашей.

— Пока вашей.

Ноа подняла глаза.

Гильад заметил.

— Если я соглашусь.

— Хорошо, — сказал я. — Но ты отклонил без разговора.

— Да.

— Это было правильно?

Он помолчал.

— Возможно, нет.

Я не ожидал.

— Почему?

— Потому что я оценил не только компетенции. Я отреагировал на источник кандидатуры.

Ноа записала.

— То есть?

— То есть часть моего «нет» была профессиональной. Часть — желанием сразу показать, что CEO не формирует команду.

Я откинулся.

— Спасибо.

— За что?

— Ты только что сделал мою работу.

— Какую?

— Доказал, что директор тоже может принимать решение из-за собственной позиции.

Гильад кивнул.

— Именно поэтому нужен review процесса.

Первое «нет» оказалось полезнее, чем я думал.

Не потому, что оно было правильным.

Потому что его пришлось разбирать.

• • •

Мы не вернули кандидата автоматически.

Это было важно.

Если после моего возражения Гильад просто соглашался, правило исчезало.

Вместо этого мы создали процедуру.

Core team hires:

Director owns professional selection.

CEO may propose candidates.

Proposal does not create preference.

Rejection must have documented professional basis.

For key roles, a second qualified reviewer may challenge basis.

Challenge does not equal override.

Я прочитал.

— Очень много текста ради одного человека.

Ноа сказала:

— Именно так появляются хорошие правила.

— А плохие?

— Обычно после трёх людей.

Гильад улыбнулся.

— Тогда мы экономим.

Мы договорились: кандидат получит короткую профессиональную встречу не как уступку мне, а потому что основание отказа оказалось смешанным.

После встречи Гильад всё равно сказал:

— Нет.

На этот раз объяснил.

И я согласился.

Это раздражало меньше.

Немного.

• • •

Через три дня Гильад подписал условное согласие принять роль директора после утверждения Mission Charter и стартового governance package.

Не трудовой договор.

Не публичное назначение.

Но достаточно, чтобы начать собирать физическую структуру.

Мы получили помещение.

Не новое здание.

Отдельный блок рядом с существующей инженерной инфраструктурой.

Две лабораторные комнаты.

Небольшая переговорная.

Рабочая зона.

Отдельный сегмент research network ещё строился.

На двери пока ничего не было.

Дор пришёл посмотреть.

— Где институт?

— Здесь.

Он оглядел пустую комнату.

— Сильное начало.

— Очень смешно.

— Я ожидал хотя бы микроскоп.

— Мы занимаемся транспортными системами.

— Тогда грузовик в переговорной.

— Уйди.

Он не ушёл.

• • •

Гильад ходил по помещениям с человеком из facilities.

— Эта стена остаётся?

— Да.

— Хорошо.

— Почему?

— Не люблю, когда директор начинает с ремонта.

Я посмотрел на него.

— Наконец-то человек, который экономит мои деньги.

— Не радуйтесь. Оборудование будет дороже стены.

— Вот.

Facilities показал место под стенд.

Research terminals.

Отдельное хранение тестовых устройств.

Доступ к инженерной зоне — по согласованной процедуре.

Ничего впечатляющего.

Именно это мне нравилось.

Институт не начинался с вывески.

Он начинался с того, кто имеет ключ, к каким данным и зачем.

• • •

Ноа принесла первую версию access matrix.

Гильад прочитал.

— CEO unrestricted access to premises?

Я посмотрел.

— Это здание компании.

— Я не спрашивал, чьё здание.

— Ты хочешь запретить мне вход?

— Нет.

— Тогда?

— Я хочу, чтобы вход не означал управленческий доступ к людям и исследованиям.

Дор тихо сказал:

— Можно выдать ему бейдж «не командовать».

Я посмотрел.

— Очень полезно.

Гильад неожиданно улыбнулся.

— Я бы выдал.

— Вы оба уволены.

— Ты не можешь, — сказал Дор.

— Его пока вообще не наняли, — добавила Ноа.

Плохая команда.

Хорошая.

Наверное.

• • •

Первый рабочий стол занял не Гильад.

Он настоял.

— Сначала coordinator и data administration.

— Почему?

— Потому что независимость без расписания и доступа к данным быстро становится философским кружком.

Я согласился.

Второй стол готовили для technical research.

Кандидата ещё не было.

Третий — временно для внешних специалистов.

На стене появилась доска.

Гильад написал сверху:

QUESTIONS BEFORE PRODUCTS.

Я прочитал.

— Слишком красиво.

— Можно стереть.

— Оставь.

Под ним он написал первый вопрос:

HOW DOES THE DRIVER KNOW WHAT THE SYSTEM EXPECTS NOW?

Не «готово ли сопровождение».

Не «можно ли расширить pilot».

Вопрос был уже другим.

Я вспомнил наш спор в главе до этого.

Гильад получил право изменить формулировку.

И использовал.

Без моего разрешения.

Я не вмешался.

Это тоже было частью теста.

• • •

Давид пришёл после обеда.

Не на открытие.

Открытия не было.

Гильад показал ему Mission Charter draft.

Давид прочитал раздел о separation of research and validation.

— Кто придумал?

— Мы, — сказал Гильад.

— Плохой ответ.

Я засмеялся.

Гильад посмотрел.

— Почему?

— Потому что «мы» потом невозможно проверить.

Он взял ручку.

— Здесь research может разработать метод и провести exploratory testing.

— Да.

— Здесь final validation у независимой функции, если исследование участвовало в разработке.

— Да.

— Кто определяет независимость функции?

Гильад посмотрел на Ноа.

Она сказала:

— Open item.

Давид кивнул.

— Хорошо.

Я поднял руку.

— Нет. Хватит.

Никто не понял.

— Все говорят «хорошо», когда у нас дырка.

Давид пожал плечами.

— Потому что названная дырка лучше скрытой.

К сожалению, тоже хорошая фраза.

• • •

Мы перешли к будущему Technical & Safety Council.

Не создавали новый орган вместо существующих полномочий.

Определяли, как Институт будет входить в уже зрелую систему технических решений.

Давид не хотел, чтобы research conclusion автоматически становился safety approval.

Гильад не хотел, чтобы technical authority могла просто сказать «это не наша методика» и закрыть исследование.

Оба были правы.

Это было неудобно.

— Council должен иметь право остановить safety-critical переход, — сказал Давид.

— Да.

— Но не право объявить исследовательский вопрос бессмысленным только потому, что он не входит в текущую product architecture, — сказал Гильад.

— Да.

Я посмотрел на Ноа.

— Можно один раз, чтобы кто-то был явно неправ?

— Нет.

— Очень тяжело управлять.

— В этом идея.

• • •

К вечеру на доске появились три линии.

RESEARCH CONCLUSION.

TECHNICAL VALIDATION.

OPERATIONAL RELEASE.

Не одно и то же.

Не одна подпись.

Не один человек.

Давид указал на первую.

— Это ваше.

На вторую.

— Здесь зависит от предмета и конфликта.

На третью.

— Никогда не только ваше.

Гильад кивнул.

— Согласен.

— Быстро, — сказал я.

— Потому что это разумно.

— А со мной ты так не умеешь?

— Иногда вы тоже говорите разумно.

Дор, который всё ещё был рядом, засмеялся слишком громко.

Я запомнил.

• • •

Перед уходом я остался один в новой рабочей зоне.

Почти один.

За стеклом человек из IT подключал research segment.

На столе лежали временные бейджи.

На доске — первый вопрос.

Никакой вывески.

Никакой церемонии.

Гильад ещё не был окончательно оформлен.

Команда почти отсутствовала.

Но структура уже сделала три вещи.

Отклонила моего кандидата.

Проверила собственный отказ.

Изменила вопрос первой программы.

Я мог спорить со всеми тремя.

Не мог просто отменить.

Телефон завибрировал.

Сообщение от Гильада:

«Завтра пришлю два профиля на technical research. Один молодой. Не пугайтесь».

Я ответил:

«После сегодняшнего я боюсь только ваших комментариев в Word».

Он прислал:

«Правильно».

Я посмотрел на пустой второй стол.

Первое «нет» не остановило Институт.

Оно сделало его немного реальнее.

Глава 12. Совет

Совет начался с того, что Давид отказался называться советом.

— Почему? — спросил я.

— Потому что пока здесь четыре человека и доска.

— Пять, — сказала Ноа.

Давид посмотрел на Гильада.

— Он ещё не оформлен.

— Очень гостеприимно, — сказал Гильад.

— Я про governance.

— Тогда ещё хуже.

Я сел.

На доске уже были три строки:

RESEARCH CONCLUSION.

TECHNICAL VALIDATION.

OPERATIONAL RELEASE.

Они появились в прошлый раз.

Сегодня под ними нужно было написать, кто именно имеет право остановить движение между строками.

Не посоветовать.

Не выразить сомнение.

Остановить.

• • •

Ноа начала с существующей системы.

Не с Института.

Это было правильно.

— У нас уже есть technical authority, — сказала она. — Мы не создаём параллельную власть только потому, что появилось новое название.

Давид кивнул.

— Safety-critical technical transition без sign-off не проходит.

— Это остаётся.

— Да.

Гильад спросил:

— А если исследование показывает риск, который ещё не оформлен как техническое несоответствие?

Давид посмотрел на него.

— Пример.

— Водитель неправильно понимает состояние системы, хотя система технически работает в пределах спецификации.

— Тогда это human factors issue.

— Который кто имеет право остановить?

Давид не ответил сразу.

Вот ради этого мы и собрались.

• • •

Я написал на доске:

STOP AUTHORITY ≠ FINAL TRUTH.

Ноа посмотрела.

— Откуда?

— Сам.

— Подозрительно.

Гильад сказал:

— Правильно.

Давид добавил:

— Stop — временное действие до закрытия основания. Не сертификат вечной правоты.

— Значит, если Институт фиксирует safety-relevant research finding...

— Не любой, — перебил Давид.

— Конечно.

— Нужен threshold.

— Какой?

— Вот это и надо определить.

Я посмотрел на Ноа.

— Можно сегодня хотя бы один готовый ответ?

— Нет.

— Тогда зачем я CEO?

Давид пожал плечами.

— Бюджет подписывать.

Очень полезные люди.

• • •

Мы спорили о слове «достаточный».

Когда данных достаточно для stop?

Гильад хотел, чтобы Институт мог поднять формальный stop request до полной причинной модели.

Давид соглашался, но не хотел, чтобы любое необъяснённое отклонение автоматически замораживало программу.

— Если сигнал слабый, — сказал он, — ты создашь систему, где самый осторожный человек управляет скоростью всей компании.

— А если ждать полной уверенности, — ответил Гильад, — stop authority существует только после события.

— Я не сказал ждать полной.

— Тогда где граница?

Давид взял маркер.

Написал:

PLAUSIBLE SAFETY RELEVANCE.

REPRODUCIBLE OR MATERIAL.

NO ADEQUATE EXISTING CONTROL.

— Три условия? — спросил я.

— Рабочая версия.

Гильад добавил четвёртое:

BASIS DOCUMENTED.

Давид кивнул.

— Да.

Я посмотрел.

Они согласились.

Слишком быстро.

— Подождите. Я что-то пропустил?

— Нет, — сказала Ноа. — Запиши дату.

• • •

Следующий вопрос был хуже.

Кто снимает stop?

Не тот, кто его поставил.

Не CEO.

Не board голосованием.

Не автоматически Давид.

Мы нарисовали цепочку.

Research finding.

Formal stop.

Evidence review.

Corrective action or clarified control.

Independent validation where required.

Release decision.

— Кто владелец release? — спросил я.

Давид ответил:

— Зависит от того, что остановлено.

— Очень удобно.

— Потому что машина сложнее таблицы.

Гильад сказал:

— Если stop основан на human factors, final closure не должен принадлежать только engineering.

— Согласен.

— Тогда нужен human factors authority.

— Нужен специалист, — поправил Давид. — Authority определим после того, как поймём роль.

Я отметил.

Пока у нас не было человека.

Но место для него уже появилось.

• • •

Ноа вернула разговор к Council.

— Нам нужен не орган, который заменяет владельцев функций. Нам нужен механизм для конфликтов между ними.

— То есть когда research говорит «нет», engineering говорит «технически всё нормально», operations говорит «клиент ждёт», а CEO говорит...

Она посмотрела на меня.

— Что?

— Ничего.

— Очень смешно.

Дор подключился на двадцать минут именно к этой части.

— Я скажу «клиент ждёт».

— Спасибо, — сказал я.

— Чтобы роли были реалистичными.

Он сел.

— Но если есть formal stop, operations не выпускает.

— Даже если считаешь stop чрезмерным? — спросил Гильад.

— Тогда спорю до release. Не после аварии.

Давид посмотрел на него.

— Хорошо.

Дор повернулся ко мне.

— Он тоже.

— Уже поздно.

• • •

Мы назвали механизм Technical & Safety Council.

Не постоянный комитет, который собирается каждую среду ради календаря.

Состав зависел от вопроса.

Обязательные роли:

technical authority;

research representative;

risk/governance;

operational owner, если решение затрагивает эксплуатацию;

независимая профильная экспертиза, если требуется.

CEO мог участвовать.

Не мог заменить отсутствующую профессиональную подпись.

Board мог получить escalation по governance, бюджету, конфликту полномочий.

Не мог проголосовать, что физика или человеческое восприятие работают иначе.

Я перечитал.

— Очень ограниченная должность CEO.

Ноа ответила:

— Ты сам этого хотел.

— Я хотел независимость. Не унижение.

Дор сказал:

— Это идёт комплектом.

• • •

После обеда пришёл первый реальный тест.

Не авария.

Не поломка.

Письмо от operations.

На следующей неделе планировалось расширенное испытание automatic following на трёх машинах.

Новый набор сценариев.

Ничего за пределами существующего test envelope.

Давид прочитал.

— Technical readiness есть.

Гильад спросил:

— А research readiness?

— Что это значит?

— Мы собираемся исследовать понимание водителя?

— Пока нет, — сказал я. — Это следующий этап.

— Тогда я против расширения сценариев до того, как мы определим, что именно измеряем у человека.

Я посмотрел на него.

— Это stop?

— Нет.

— Почему?

— У меня нет основания утверждать safety risk. Я утверждаю, что мы потеряем исследовательскую возможность.

Давид кивнул.

— Хорошо.

Я закрыл глаза.

— Всё.

• • •

Это различие оказалось важнее самого испытания.

Не каждое профессиональное несогласие — stop.

Не каждый research concern — safety concern.

Институт должен был уметь сказать:

«Я не рекомендую».

И отдельно:

«Я останавливаю».

Если эти фразы смешать, через полгода никто не будет воспринимать вторую всерьёз.

Мы изменили план.

Не отменили испытание.

Добавили наблюдение за водителями.

Короткое интервью до и после сценариев.

Фиксацию ожиданий от системы.

Сравнение с фактическими состояниями.

— Кто разработает протокол? — спросил я.

Гильад ответил:

— Нужен human factors специалист.

— У нас его нет.

— Значит, найдём.

— До следующей недели?

— Внешний специалист на первый цикл.

Давид сказал:

— Только без двадцати страниц психологии.

Гильад посмотрел.

— Я передам пожелание.

• • •

К вечеру Council существовал.

Не как новый начальник над всеми.

Как правило: когда разные профессиональные истины сталкиваются, ни одна функция не получает право объявить себя всей системой.

Давид подписал рабочую схему.

Ноа — governance.

Гильад поставил пометку:

SUBJECT TO CHARTER APPROVAL.

Я посмотрел.

— Ты даже подпись делаешь условной?

— Пока должность условная.

— Последовательный человек.

— Стараюсь.

Дор уже уходил.

— Поздравляю. У вас теперь есть совет, который не советует.

— Иногда советует.

— Тогда название честное.

Он ушёл.

• • •

Я остался с Давидом.

— Что думаешь о Гильаде?

— Рано.

— Это всё?

— Нет.

Он убрал документы.

— Он понимает разницу между authority и ego.

— Сегодня.

— Сегодня достаточно.

— А завтра?

— Завтра проверим снова.

Я кивнул.

На доске оставалась новая строка:

HUMAN FACTORS — REQUIRED.

До сих пор мы строили права.

Завтра нужно было посмотреть, что происходит внутри кабины.

Потому что система могла работать правильно.

А человек — понимать её неправильно.

И никакой charter сам по себе этого не исправлял.

Глава 13. Что понимает водитель

Хадас Бар-Он попросила не объяснять ей систему.

Я решил, что неправильно услышал.

— Совсем?

— Пока совсем.

Она стояла рядом с CT-185 и смотрела на кабину.

— Мне нужны инструкция, которую получает водитель, интерфейс, который он видит, и задачи, которые вы ему ставите.

— А архитектура?

— Потом.

Давид скрестил руки.

— Почему?

— Потому что если сначала объяснить мне, как система должна пониматься, я начну проверять ваше объяснение.

Она посмотрела на него.

— Я хочу сначала увидеть, как её понимает человек без меня.

Гильад молча кивнул.

Вот так Хадас получила первый плюс.

• • •

Она не была психологом в том смысле, которого боялся Давид.

Через десять минут стало ясно.

Никаких разговоров о чувствах машины.

Никаких красивых слов.

Она спросила:

— Какие состояния системы видит водитель?

Инженер перечислил.

— Какие переходы между ними?

Перечислил.

— Какие требуют действия?

Ещё список.

— Какие требуют только awareness?

Список стал короче.

— Где водитель видит разницу?

Инженер показал интерфейс.

Хадас наклонилась.

— Цвет?

— И текст.

— Звук?

— В двух состояниях.

— Haptic?

— Нет.

— Что происходит при degraded external communication?

Ноа посмотрела на меня.

Я вспомнил недавний маршрут.

— Local telemetry сохраняется, reserve channel поднимается в определённых условиях.

— Что видит водитель?

Инженер показал.

Хадас записала.

— Хорошо.

Давид посмотрел на меня.

Я ничего не сказал.

• • •

Первый водитель был опытный.

Работал с CT-185 не первый месяц.

Хадас посадила его в кабину.

Машина стояла.

— Представьте, что вы идёте ведущим в режиме automatic following support. Что система делает сама?

Он ответил уверенно.

Правильно.

— Что остаётся вашей ответственностью?

Тоже правильно.

— Когда вы понимаете, что система больше не может поддерживать текущий режим?

Он показал индикатор.

— А до этого?

Пауза.

— В каком смысле?

— Есть ли состояние, в котором система ещё работает, но её возможности уже ограничены?

— Да.

— Как вы это видите?

Он показал другой элемент.

Хадас спросила:

— Что вы делаете?

— Слежу внимательнее.

— Что именно меняется в ваших действиях?

Он задумался.

— Ну... готов вмешаться.

— Вмешаться во что?

Пауза стала длиннее.

Давид перестал смотреть на планшет.

• • •

Второй водитель ответил иначе.

Тоже опытный.

Тот же интерфейс.

Та же инструкция.

На вопрос о degraded state он сказал:

— Система предупреждает, что может перейти на резерв.

— А ваша ответственность?